ثلاثة أسئلة حول نطاق المراجعة السيبرانية قبل اعتماد الخطة

تتطلب المادة 7.2 من إطار حوكمة تقنية المعلومات الصادر عن البنك المركزي السعودي (ساما) إجراء مراجعة سيبرانية سنوية مستقلة. وفي معظم الحالات، تعتمد لجنة المراجعة النطاق المقترح من إدارة المراجعة الداخلية دون مناقشة تفصيلية. السؤال الذي يجب أن يُطرح: هل ستقدّم هذه المراجعة تأكيداً حقيقياً على فعالية الضوابط، أم ستكتفي بالتحقق من وجود الوثائق والسياسات؟

الفرق بين النوعين كبير. المراجعة التي تكتفي بمراجعة الوثائق قد تخلص إلى أن "السياسات موجودة" و"الإجراءات موثّقة"، بينما الضوابط الفعلية على الأنظمة والشبكات قد لا تعمل كما هو مطلوب. وهذا يعرّض المؤسسة لمخاطر حقيقية لا تكتشفها اللجنة إلا بعد فوات الأوان.

في هذا المقال، نطرح ثلاثة أسئلة نطاق المراجعة السيبرانية ساما التي يجب أن تطرحها لجنة المراجعة قبل اعتماد الخطة السنوية، مع توضيح الأدلة التي يجب أن تقدمها إدارة المراجعة الداخلية عند الإجابة.

السؤال الأول: هل ستختبر المراجعة فعالية التشغيل أم فعالية التصميم فقط؟

عندما تراجع إدارة المراجعة الداخلية ضابطاً أمنياً، يمكنها أن تختبر أحد مستويين:

فعالية التصميم: هل الضابط مصمّم بشكل صحيح على الورق؟ هل السياسة تنص على المطلوب؟ هل الإجراء موثّق؟

فعالية التشغيل: هل الضابط يعمل فعلاً كما هو مصمّم؟ هل يُطبّق باستمرار؟ هل يحقق الهدف المطلوب منه؟

معظم المراجعات السيبرانية تركّز على فعالية التصميم فقط. تطلب المراجعة الداخلية نسخة من سياسة إدارة الصلاحيات، وتتحقق من أنها تتضمن المتطلبات الرقابية، وتخلص إلى أن الضابط "مصمّم بشكل مناسب". لكن هذا لا يجيب على السؤال الأهم: هل الصلاحيات على الأنظمة الحرجة تُراجع فعلاً كل ثلاثة أشهر كما تنص السياسة؟ هل توجد صلاحيات زائدة لم تُكتشف؟

ما الذي يجب أن تطلبه اللجنة؟

اطلبوا من إدارة المراجعة الداخلية أن توضّح في خطة التدقيق أي الضوابط ستُختبر تشغيلياً وأي منها سيُختبر تصميمياً فقط. الضوابط الحرجة — مثل إدارة الصلاحيات، والمصادقة متعددة العوامل، ومراقبة الأنشطة المشبوهة، والنسخ الاحتياطي — يجب أن تُختبر تشغيلياً.

ما الأدلة التي يجب أن تقدّمها المراجعة الداخلية؟

عند اختبار فعالية التشغيل، يجب أن تقدّم المراجعة الداخلية أدلة مثل:

• عينة من سجلات المراجعة (audit logs) تُظهر تطبيق الضابط على مدى فترة زمنية
• نتائج اختبارات فعلية على الأنظمة (مثلاً: محاولة الوصول بصلاحيات منتهية)
• تقارير تلقائية من الأنظمة تُظهر الامتثال المستمر
• مقابلات مع المسؤولين عن تنفيذ الضابط، مع التحقق من إجاباتهم بالأدلة الفعلية

إذا كانت الإجابة "سنراجع السياسات والإجراءات فقط"، فاللجنة لن تحصل على تأكيد حقيقي.

السؤال الثاني: هل ستشمل المراجعة اختباراً تقنياً فعلياً للضوابط الأمنية؟

المراجعة السيبرانية الفعّالة لا تكتفي بمراجعة الوثائق والمقابلات؛ بل تتضمن اختباراً تقنياً للضوابط على الأنظمة والشبكات والتطبيقات. هذا يعني أن فريق المراجعة يجب أن يمتلك المهارات التقنية اللازمة لفحص الإعدادات الفعلية، واختبار الثغرات، والتحقق من فعالية الضوابط الوقائية والرصدية.

على سبيل المثال:

• هل ستختبر المراجعة إعدادات جدران الحماية (firewalls) فعلياً، أم ستكتفي بمراجعة تقرير من فريق الأمن؟
• هل ستفحص سجلات مركز العمليات الأمنية (SOC) للتحقق من رصد الأنشطة المشبوهة، أم ستعتمد على تأكيد شفهي؟
• هل ستختبر فعالية النسخ الاحتياطي باختبار استرجاع فعلي، أم ستكتفي بالاطلاع على جدول النسخ الاحتياطي؟

ما الذي يجب أن تطلبه اللجنة؟

اسألوا إدارة المراجعة الداخلية: ما الاختبارات التقنية التي ستُجرى؟ وما المهارات المتوفرة لدى الفريق لإجراء هذه الاختبارات؟

إذا كانت إدارة المراجعة الداخلية لا تمتلك المهارات التقنية المطلوبة، فيجب أن تستعين بخبراء خارجيين متخصصين في الأمن السيبراني لتنفيذ الاختبارات التقنية ضمن نطاق المراجعة.

ما الأدلة التي يجب أن تقدّمها المراجعة الداخلية؟

عند تضمين اختبارات تقنية، يجب أن تقدّم المراجعة الداخلية:

• لقطات شاشة (screenshots) من الأنظمة تُظهر الإعدادات الفعلية
• نتائج فحوصات تقنية (scans) للثغرات أو نقاط الضعف
• سجلات اختبارات فعلية (مثلاً: محاولة الوصول غير المصرح به)
• تقارير من أدوات تقنية تُظهر الامتثال أو عدم الامتثال

الاختبار التقني لا يعني بالضرورة اختبار اختراق كامل في كل مراجعة، لكنه يعني أن المراجعة لا تعتمد فقط على ما تقوله الإدارة، بل تتحقق بنفسها من الواقع الفعلي.

السؤال الثالث: كيف ستتعامل المراجعة مع الضوابط المسندة لأطراف ثالثة؟

معظم المؤسسات المالية تعتمد على أطراف ثالثة في تقديم خدمات تقنية وأمنية حرجة: الحوسبة السحابية، ومراكز البيانات، ومراكز العمليات الأمنية المُسندة، وخدمات الدعم التقني. إطار حوكمة تقنية المعلومات يتطلب من المؤسسة التأكد من أن هذه الأطراف تطبّق الضوابط المطلوبة، لكن كيف تتحقق المراجعة الداخلية من ذلك؟

في كثير من الحالات، تكتفي المراجعة بمراجعة تقرير SOC 2 أو ISO 27001 المقدّم من الطرف الثالث، وتخلص إلى أن "الضوابط مناسبة". لكن هذا لا يكفي لعدة أسباب:

• التقرير قد يكون قديماً (أكثر من سنة)
• التقرير قد لا يغطي جميع الخدمات التي تستخدمها المؤسسة
• التقرير قد لا يتضمن اختبارات لفعالية التشغيل
• التقرير لا يتحقق من الإعدادات الخاصة بمؤسستكم (مثل إعدادات الصلاحيات على البيئة السحابية)

ما الذي يجب أن تطلبه اللجنة؟

اسألوا إدارة المراجعة الداخلية: كيف ستتحقق من فعالية الضوابط المُسندة؟ هل ستكتفي بمراجعة تقارير الأطراف الثالثة، أم ستُجري اختبارات مستقلة؟

يجب أن يتضمن نطاق المراجعة:

• مراجعة تقارير الأطراف الثالثة (SOC 2, ISO 27001) والتحقق من حداثتها وشمولها
• اختبار الإعدادات الخاصة بمؤسستكم على الخدمات المُسندة (مثل إعدادات الصلاحيات والتشفير)
• مراجعة عمليات الرصد والاستجابة التي يقدّمها الطرف الثالث (مثلاً: مراجعة عينة من الحوادث التي رصدها مركز العمليات الأمنية المُسند)
• التحقق من آليات الإشراف والمتابعة التي تمارسها المؤسسة على الأطراف الثالثة

ما الأدلة التي يجب أن تقدّمها المراجعة الداخلية؟

عند مراجعة الضوابط المُسندة، يجب أن تقدّم المراجعة الداخلية:

• نسخة من تقارير الأطراف الثالثة مع تحليل للفجوات بين نطاق التقرير والخدمات المستخدمة
• نتائج اختبارات على الإعدادات الخاصة بمؤسستكم
• عينة من تقارير الرصد والاستجابة المقدّمة من الطرف الثالث، مع تقييم لجودتها
• أدلة على متابعة المؤسسة للأطراف الثالثة (اجتماعات دورية، مراجعة أداء، متابعة الحوادث)

إذا كانت الإجابة "سنعتمد على تقرير SOC 2 فقط"، فاللجنة لا تحصل على تأكيد كافٍ.

كيف تضمن اللجنة أن المراجعة تقدّم تأكيداً حقيقياً؟

عند اعتماد نطاق المراجعة السيبرانية السنوية، يجب أن تطلب لجنة المراجعة من إدارة المراجعة الداخلية تقديم خطة تدقيق واضحة تتضمن:

• قائمة بالضوابط التي ستُختبر تشغيلياً وليس تصميمياً فقط
• وصفاً للاختبارات التقنية التي ستُجرى، والمهارات المطلوبة لإجرائها
• منهجية واضحة للتحقق من الضوابط المُسندة لأطراف ثالثة
• حجم العينات التي ستُختبر، والفترة الزمنية التي ستغطيها المراجعة
• الأدلة المتوقعة التي ستُجمع لكل ضابط

إذا لم تكن إدارة المراجعة الداخلية قادرة على تقديم هذا المستوى من التفصيل، أو إذا كانت تفتقر إلى المهارات التقنية المطلوبة، فيجب على اللجنة أن تطلب الاستعانة بخبراء خارجيين متخصصين.

الخلاصة: من قائمة التحقق إلى التأكيد الحقيقي

المراجعة السيبرانية السنوية ليست مجرد متطلب رقابي يجب استيفاؤه؛ بل هي فرصة للجنة المراجعة للحصول على تأكيد مستقل حول فعالية الضوابط الأمنية الفعلية. لكن هذا التأكيد لا يتحقق إلا إذا كان نطاق المراجعة مصمّماً بشكل صحيح منذ البداية.

الأسئلة الثلاثة التي طرحناها في هذا المقال تحوّل المراجعة من قائمة تحقق وثائقية إلى فحص حقيقي لفعالية الضوابط. وعندما تطرح اللجنة هذه الأسئلة، فإنها ترسل رسالة واضحة: نريد تأكيداً حقيقياً، وليس مجرد تقرير يؤكد وجود الوثائق.

في سيزو للاستشارات، ننفذ عمليات تدقيق الأمن السيبراني نيابة عن إدارة المراجعة الداخلية أو بالشراكة معها — تخطيطًا وتنفيذًا ورفعًا للتقارير وفق معايير المراجعة الداخلية. نبدأ بتخطيط تدقيق مبني على المخاطر، ثم ننتقل إلى العمل الميداني حيث نُجري اختبار فاعلية التصميم والتشغيل عبر العينات ومراجعة الأدلة، ونقدّم تقريراً يتضمن ملاحظات مصنفة مع ردود الإدارة، ونتابع لاحقاً للتحقق من الإجراءات التصحيحية. المخرجات تشمل خطة التدقيق وبرنامجه، وأوراق العمل، وتقرير التدقيق للجنة المراجعة، وتقرير المتابعة. مدة التدقيق الواحد تتراوح بين 3 إلى 6 أسابيع، وفق إطار حوكمة تقنية المعلومات وإطار الأمن السيبراني الصادرين عن البنك المركزي السعودي، وضوابط الأمن السيبراني الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني.